Почему в Patch Tuesday от Microsoft стало больше исправлений: причины и последствия

Каждый второй вторник месяца Microsoft выпускает пакет обновлений безопасности, известный как Patch Tuesday. В последние годы пользователи и ИТ-специалисты всё чаще замечают, что количество исправлений в этих выпусках заметно выросло. Если раньше речь шла о нескольких десятках, то теперь счёт идёт на сотни, а в ноябрьском выпуске 2024 года было закрыто 133 уязвимости. Возникает закономерный вопрос: почему Microsoft стала такой активной? Ответ кроется не в ухудшении качества Windows, а в кардинальном изменении подхода компании к управлению уязвимостями, который начался с запуска инициативы Secure Future Initiative (SFI) в ноябре 2023 года. Эта программа поставила безопасность выше разработки новых функций, что напрямую повлияло на объём и частоту патчей. В этой статье мы разберём причины роста числа исправлений, технические детали и то, как это отразится на пользователях и бизнесе в будущем.

Почему Microsoft стала выпускать больше исправлений

Главная причина — переход на модель Secure Future Initiative (SFI), объявленную в ноябре 2023 года. Это комплексная программа, которая ставит безопасность выше разработки новых функций. В её рамках Microsoft обязалась быстрее находить и закрывать уязвимости, а также активнее взаимодействовать с исследователями безопасности. Как следствие, в Patch Tuesday теперь включаются не только критические обновления, но и исправления для уязвимостей, которые раньше могли ждать своей очереди месяцами. Раньше компания придерживалась стратегии "исправлять только то, что горит": критические уязвимости, активно эксплуатируемые злоумышленниками, закрывались в первую очередь, а остальное могло ждать следующего крупного обновления. Теперь же Microsoft старается закрывать все известные дыры в течение месяца после обнаружения, что и приводит к росту числа патчей.

Дополнительный фактор — давление со стороны регулирующих органов, особенно в Европе и США. Агентство по кибербезопасности и защите инфраструктуры (CISA) ввело требование устранять известные эксплуатируемые уязвимости в течение 30 дней. Microsoft, как поставщик критической инфраструктуры, вынуждена соответствовать этим срокам, что напрямую влияет на количество патчей в каждом выпуске. Если раньше компания могла отложить исправление некритической проблемы на несколько месяцев, то теперь регуляторы фактически заставляют её действовать быстрее. Это особенно заметно в свете участившихся атак на государственные учреждения и крупные корпорации, когда промедление с закрытием дыр может привести к серьёзным последствиям.

Кроме того, в последние годы Microsoft значительно расширила свою программу bug bounty, привлекая больше исследователей. Чем больше людей ищут уязвимости, тем больше их находят. И хотя это может показаться парадоксальным, рост числа исправлений — это признак того, что компания стала лучше видеть проблемы в своём коде. Программа вознаграждений за найденные уязвимости теперь охватывает не только Windows, но и облачные сервисы, такие как Azure и Office 365, что также увеличивает поток отчётов об ошибках. В итоге Microsoft получает больше информации о потенциальных дырах и вынуждена реагировать на неё быстрее.

Чем это отличается от прошлых лет

Если оглянуться на несколько лет назад, то подход Microsoft к выпуску обновлений был совершенно иным. В 2019 году среднее количество исправлений в месяц составляло около 50–60, и большинство из них касались непосредственно ядра Windows и системных служб. Компания не стремилась закрывать все известные уязвимости, а концентрировалась на тех, которые уже использовались злоумышленниками или имели высокий критический рейтинг. Остальные проблемы могли оставаться нерешёнными месяцами, а иногда и годами, пока не происходил серьёзный инцидент. Теперь же Microsoft старается охватить все компоненты, включая драйверы, библиотеки и встроенные приложения, которые раньше обновлялись реже. Это делает ежемесячный пакет более полным, но и более объёмным.

Пользователи видят это как резкое увеличение количества обновлений, хотя на самом деле это просто более системный подход. Вместо того чтобы ждать накопления критических проблем, Microsoft теперь реагирует на каждую обнаруженную уязвимость в течение месяца. Это означает, что в Patch Tuesday попадают исправления для уязвимостей, которые раньше могли быть отложены на несколько месяцев. Такой подход требует больше ресурсов со стороны ИТ-отделов, которые должны тестировать совместимость обновлений с внутренними приложениями, но в долгосрочной перспективе он снижает риск успешных атак.

Технические детали и статистика

Если посмотреть на цифры, то в февральском обновлении 2024 года было исправлено 73 уязвимости, а уже в марте — 60. Но в августе 2024 года число перевалило за 90, а в октябре — за 117. В недавнем выпуске, который вышел в ноябре 2024 года, было закрыто 133 уязвимости, из них 8 критических и 2 активно эксплуатируемых. Для сравнения, в 2019 году среднее количество исправлений в месяц составляло около 50–60. Рост почти в два раза. Интересно, что большая часть новых исправлений касается не самой Windows, а компонентов, которые раньше обновлялись реже: драйверов, библиотек, встроенных приложений. Microsoft также начала включать в Patch Tuesday обновления для Microsoft Edge, которые раньше выходили отдельно. Это делает ежемесячный пакет более полным, но и более объёмным.

Статистика показывает, что рост числа патчей не случаен: он отражает новые требования регуляторов и внутренние изменения в Microsoft. Например, в октябрьском выпуске 2024 года было закрыто 117 уязвимостей, из которых 3 активно эксплуатировались. Это на 30% больше, чем в среднем за 2023 год. При этом Microsoft не просто увеличивает количество, но и улучшает качество: в каждом выпуске всё больше исправлений для уязвимостей, которые могут привести к удалённому выполнению кода или повышению привилегий. Это особенно важно для корпоративных клиентов, которые управляют сотнями или тысячами устройств, ведь каждая закрытая дыра снижает риск компрометации.

Кого затронет и как

Для обычных пользователей увеличение числа патчей означает только одно — их компьютер будет получать больше обновлений, и их установка может занимать больше времени. Но это также означает, что система становится безопаснее, и риск заражения вредоносным ПО снижается. Особенно это важно для корпоративных клиентов, которые управляют сотнями или тысячами устройств. Им приходится планировать развёртывание обновлений, и теперь это требует больше ресурсов. Например, ИТ-отделы должны заранее тестировать обновления на совместимость с внутренними приложениями, чтобы избежать сбоев. Microsoft старается облегчить этот процесс, предоставляя подробную документацию и инструменты для автоматизации, такие как Windows Update for Business и Azure Update Manager.

Для разработчиков и ИТ-специалистов рост числа патчей — это дополнительная нагрузка: нужно тестировать совместимость обновлений с внутренними приложениями. Однако Microsoft старается облегчить этот процесс, предоставляя подробную документацию и инструменты для автоматизации. В России и СНГ ситуация аналогична: пользователи и компании также получают обновления через центры обновления Windows. Единственная особенность — возможные задержки из-за санкционных ограничений, но в целом процесс не отличается. Тем не менее, для компаний, работающих в критической инфраструктуре, важно учитывать новые требования регуляторов и своевременно устанавливать обновления, чтобы избежать штрафов и санкций.

Что будет дальше

Microsoft не собирается снижать темпы. В рамках SFI компания планирует к 2025 году сократить время устранения критических уязвимостей с 30 до 15 дней. Это значит, что количество исправлений в Patch Tuesday может остаться на высоком уровне или даже вырасти. Кроме того, Microsoft активно инвестирует в автоматизацию поиска уязвимостей с помощью ИИ, что может привести к обнаружению ещё большего числа проблем. Уже сейчас компания использует машинное обучение для анализа кода и поиска потенциальных дыр, что позволяет находить уязвимости до того, как ими воспользуются злоумышленники. Эксперты ожидают, что тенденция сохранится: регуляторы будут ужесточать требования, а Microsoft будет вынуждена соответствовать. Для пользователей это означает, что обновления станут более частыми и объёмными, но и безопасность будет на более высоком уровне.

Однако есть и обратная сторона медали: с ростом числа патчей увеличивается и вероятность того, что какое-то обновление вызовет проблемы с совместимостью. Microsoft уже сталкивалась с критикой за то, что некоторые обновления приводили к сбоям в работе принтеров или сетевых устройств. Поэтому компания активно работает над улучшением механизмов тестирования и внедряет функцию постепенного развёртывания, которая позволяет сначала обновить небольшую группу устройств, а затем, если проблем нет, распространить обновление на все остальные. Это снижает риски и помогает сохранять доверие пользователей.

Итог

Рост количества исправлений в Patch Tuesday — это не признак того, что Windows стала хуже. Наоборот, это результат осознанной стратегии Microsoft по повышению безопасности. Компания перешла от реактивного подхода к проактивному, и теперь закрывает уязвимости быстрее и полнее, чем когда-либо. Следить за новостями Patch Tuesday стоит всем, кто заботится о безопасности своих устройств, ведь каждый выпуск — это шаг к более защищённой экосистеме Windows. В ближайшие годы мы, скорее всего, увидим дальнейший рост числа исправлений, и это станет нормой для индустрии. Важно, чтобы пользователи и компании адаптировались к этому и планировали свои процессы обновления с учётом новых реалий.